La mayoría de las empresas de Texas sabe que debe proteger los datos de sus clientes mientras los utiliza. Menos empresas saben que la ley de Texas también regula lo que ocurre cuando esos datos, o el equipo que los contiene, se desechan, se venden o se reciclan. Se aplican dos disposiciones del Texas Business and Commerce Code: la Sección 72.004 y el Capítulo 521, la Identity Theft Enforcement and Protection Act.

Este artículo es información general y no constituye asesoría legal. Consulte a su abogado sobre cómo se aplican estas leyes a su organización.

Sección 72.004: disposición de registros comerciales

El Texas Business and Commerce Code §72.004(b) establece que, cuando una empresa desecha un registro comercial que contiene información de identificación personal de un cliente, debe modificar esa información, mediante trituración, borrado u otros medios, de manera que resulte ilegible o indescifrable.

Puntos clave:

• Incluye registros electrónicos. El Capítulo 72 define un registro comercial de forma que incluye la información grabada electrónicamente y por imagen digital, por lo que los datos en discos duros, laptops, servidores y medios de respaldo están cubiertos, no solo el papel.
• Información de identificación personal, según el §72.001, es el primer nombre o inicial y el apellido de una persona combinados con otros identificadores, como fecha de nacimiento, número de Seguro Social o números de cuentas financieras.
• Contratar a un proveedor cuenta. Según el §72.004(c), una empresa cumple al contratar a una persona dedicada al negocio de disposición de registros para que modifique la información de identificación personal en su nombre.
• Protección por buena fe. Según el §72.004(e), una empresa que modificó un registro de buena fe no es responsable de una sanción civil si el registro se reconstruye posteriormente por medios extraordinarios.
• Excepciones. El requisito no se aplica a registros que la empresa deba conservar por otra ley ni a ciertos registros de importancia histórica. Quedan excluidas las instituciones financieras definidas en 15 U.S.C. §6809 y ciertas entidades cubiertas por el Texas Insurance Code.

Sanción: según el §72.004(d), una empresa que desecha un registro sin cumplir es responsable de una sanción civil de hasta $500 por cada registro comercial. El Fiscal General de Texas puede iniciar la acción y recuperar costos y honorarios razonables de abogados. Un solo servidor sin borrar puede contener miles de registros de clientes.

Capítulo 521: Identity Theft Enforcement and Protection Act

El Capítulo 521 es más amplio. La Sección 521.052(a) exige que una empresa implemente y mantenga procedimientos razonables, incluidas las medidas correctivas apropiadas, para proteger contra el uso o la divulgación ilícitos cualquier información personal sensible que recopile o mantenga en el curso normal de sus operaciones.

La Sección 521.052(b) trata directamente la disposición: la empresa debe destruir, o encargar la destrucción de, los registros de clientes que contengan información personal sensible y que no vaya a conservar, mediante:

1. trituración;
2. borrado; o
3. cualquier otra modificación de la información personal sensible que la haga ilegible o indescifrable por cualquier medio.

La información personal sensible, según el §521.002, incluye el primer nombre o inicial y el apellido de una persona combinados con un número de Seguro Social no cifrado, un número de licencia de conducir o identificación oficial, o un número de cuenta financiera o tarjeta junto con su código de acceso. También incluye información que identifica a una persona y se relaciona con su salud física o mental, la prestación de atención médica o el pago de esa atención. Esta segunda categoría alcanza a muchos empleadores y empresas de servicios, no solo a proveedores de salud.

La Sección 521.052 no se aplica a las instituciones financieras definidas en 15 U.S.C. §6809, y la ley especifica que "empresa" incluye a las asociaciones atléticas o deportivas sin fines de lucro.

Sanción: según el §521.151(a), quien infrinja el Capítulo 521 es responsable ante el estado de una sanción civil de al menos $2,000 y no más de $50,000 por cada infracción. El Fiscal General también puede solicitar medidas cautelares y recuperar gastos razonables, incluidos honorarios de abogados y costas judiciales.

Cuando la disposición sale mal: notificación de brechas

Si un equipo sale de su control con información personal sensible legible y una persona no autorizada la obtiene, pueden aplicarse las reglas de notificación de brechas del §521.053. Las personas afectadas deben ser notificadas sin demora injustificada y a más tardar 60 días después de que usted determine que ocurrió la brecha. Si se ven afectados al menos 250 residentes de Texas, debe notificarse al Fiscal General tan pronto como sea posible y a más tardar 30 días después de esa determinación. El §521.151(a-1) establece sanciones adicionales por no notificar.

Un enfoque práctico de cumplimiento

1. Defina el estándar. Las leyes hablan de "ilegible o indescifrable", pero no indican un método. Adoptar NIST SP 800-88 para medios electrónicos le da un referente reconocido y defendible.
2. Haga inventario antes de desechar. Registre los números de serie de cada computadora, disco, teléfono y copiadora que sale de servicio.
3. Contrate a un proveedor calificado. El §72.004(c) reconoce la contratación de una empresa de disposición de registros. Su contrato debe describir el método, el proceso de custodia y la documentación que recibirá.
4. Conserve la evidencia. Guarde un certificado por equipo con número de serie, método y fecha, además de los registros de cadena de custodia. Si el Fiscal General lo solicita, la documentación es la forma de demostrar "procedimientos razonables".
5. Tenga en cuenta otras leyes. Las organizaciones de salud también tienen obligaciones bajo HIPAA, y las instituciones financieras, bajo normas federales. La ley de Texas se suma a estas; no las reemplaza.

Cómo ayuda AVM a las empresas de Texas a documentar la disposición

Asset Value Management Services (AVM) tiene su sede en Houston y borra discos con WipeOS certified erasure conforme a NIST SP 800-88, con DoD 5220.22-M disponible a solicitud. Los discos que no pueden borrarse se destruyen físicamente. Cada proyecto incluye auditoría a nivel de número de serie, cadena de custodia y un certificado de destrucción por número de serie, disponible en un portal privado para clientes.

Si tiene equipos por retirar y desea documentación que pueda entregar a su asesor legal o a un auditor, con gusto le preparamos una cotización. Llame al 713-869-0200 o visítenos en 4647 Pine Timbers St., Houston, TX 77041.